IA et professions réglementées : secret, RGPD et AI Act

Avocats, experts-comptables, médecins : ce que l'intelligence artificielle autorise, ce qu'elle expose, et le contrôle humain à conserver.

Un avocat colle un contrat de 40 pages dans un assistant d'IA générative pour obtenir un résumé avant un rendez-vous. Le résumé est bon. Le contrat, lui, vient de quitter le cabinet pour des serveurs dont il ne connaît ni le pays ni les conditions de conservation. Un comptable ou un médecin qui dicte un compte rendu se trouvent dans la même situation. L'IA dans les professions réglementées fait gagner du temps et touche à une obligation que la loi pénale sanctionne : le secret professionnel. Cet article passe en revue les textes applicables et ce que chaque métier doit contrôler avant d'ouvrir un outil.

Précision de périmètre : par « professions réglementées », nous entendons ici les professions dont l'exercice est encadré par la loi et par un ordre ou une instance de tutelle, comme les avocats, les experts-comptables, les notaires ou les professions de santé. Ce texte donne un cadre général et ne remplace ni le conseil de l'ordre concerné ni un avis juridique.

Pourquoi ces professions ne s'équipent pas comme les autres

Une entreprise ordinaire qui utilise un outil d'IA doit respecter le RGPD et la sécurité de ses données. Une profession réglementée ajoute trois contraintes.

• Un secret professionnel opposable à tous, y compris aux prestataires techniques. L'article 226-13 du Code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende la révélation d'une information secrète par une personne qui en est dépositaire en raison de sa profession.
• Une déontologie propre : compétence, indépendance, loyauté envers le client ou le patient. L'outil ne dilue pas la responsabilité du professionnel.
• Des données de clients ou de patients souvent sensibles : litiges, patrimoine, santé, situation fiscale.

Le point de départ est donc simple : saisir une information couverte par le secret dans un service dont les conditions d'utilisation autorisent l'éditeur à la conserver ou à s'en servir pour entraîner ses modèles pose un problème immédiat. Les offres professionnelles et les déploiements maîtrisés existent justement pour lever ce blocage, sous conditions.

Le cadre juridique en trois couches

1. Le secret professionnel et la déontologie

Chaque profession a son texte : règlement intérieur national pour les avocats, code de déontologie pour les experts-comptables, code de la santé publique pour les médecins. Les instances professionnelles ont publié des guides sur l'IA. Le Conseil national des barreaux a diffusé un premier guide pratique sur l'IA générative en 2024, puis annoncé sur son site l'adoption d'un guide sur la déontologie et l'intelligence artificielle en mars 2026. Selon les résumés que nous avons consultés, il insiste sur le secret professionnel, la protection des données, la compétence, l'indépendance et la transparence envers le client. Nous n'avons pas relu le texte intégral : consultez-le sur cnb.avocat.fr avant de bâtir une procédure interne. Du côté des experts-comptables, la presse professionnelle rapporte qu'un guide de l'Ordre est paru début 2025, qu'il recommande une charte d'usage et ne préconise pas d'interdire les assistants généralistes, et que l'Ordre a lancé un modèle réservé à ses membres, ExpertCHAT.

2. Le RGPD

Dès qu'un outil traite des informations sur des personnes, le règlement (UE) 2016/679 s'applique. Quatre articles pèsent particulièrement :

• l'article 28 : le fournisseur de l'outil est un sous-traitant, un contrat est obligatoire ;
• l'article 32 : mesures de sécurité adaptées au risque, dont la pseudonymisation et le chiffrement ;
• l'article 35 : analyse d'impact lorsque le traitement présente un risque élevé, ce qui est fréquent avec des données de santé ou à grande échelle ;
• le chapitre V : encadrement des transferts hors de l'Union si le fournisseur héberge ses serveurs ailleurs.

L'article 22 interdit en principe qu'une personne fasse l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l'affectant de manière significative. Il rappelle utilement que l'IA prépare, le professionnel décide.

3. Le règlement européen sur l'IA (AI Act)

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Son article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA de leur personnel. Dans sa version d'origine, cette obligation s'applique depuis le 2 février 2025 et concerne tout cabinet qui déploie un outil, quelle que soit sa taille. L'omnibus numérique sur l'IA, dont l'accord politique date du 7 mai 2026, a assoupli sa portée : d'après plusieurs synthèses, il s'agit désormais de soutenir et de favoriser cette maîtrise plutôt que de la garantir. Les sources que nous avons lues se contredisent sur la version en vigueur : lisez l'article 4 consolidé avant de rédiger votre charte.

Les règles des systèmes « à haut risque » dépendent de l'annexe III. Elle vise notamment, au point 8, les systèmes destinés à être utilisés par une autorité judiciaire, ou en son nom, pour l'aider à rechercher et interpréter les faits et le droit. Un avocat qui utilise un outil de recherche jurisprudentielle n'est donc pas automatiquement dans cette catégorie : la qualification dépend de l'usage et de l'utilisateur. Calendrier : un accord politique entre le Parlement et le Conseil, annoncé le 7 mai 2026, reporte au 2 décembre 2027 l'application des exigences pour les systèmes de l'annexe III. Deux cabinets d'avocats indiquent que le texte a été formellement adopté en juin 2026 ; nous n'avons pas vérifié la publication au Journal officiel de l'Union. Vérifiez la date en vigueur au moment de votre projet.

Trois métiers, trois contraintes dominantes

Avocats : le risque d'une référence inventée

Pour un cabinet d'avocats, le danger le plus visible n'est pas la fuite mais l'erreur. Un modèle de langage peut produire une décision de justice qui n'existe pas, avec un numéro de pourvoi plausible. Aux États-Unis, dans l'affaire Mata c. Avianca (2023), des avocats ont été sanctionnés pour avoir déposé des citations de jurisprudence inventées par un assistant d'IA. Concrètement, l'avocat ouvre chaque arrêt cité dans la base officielle avant de l'écrire dans une conclusion, et relit puis signe lui-même le document.

Le secret vient ensuite. Coller des pièces dans une version grand public n'est pas défendable si les conditions d'utilisation permettent à l'éditeur de réutiliser les saisies. Les usages courants (recherche documentaire, premier jet de courrier, comparaison de clauses, traduction) passent par des offres professionnelles ou par un outil installé chez soi. Le barreau de Paris a publié une charte sur l'IA qui rappelle que le secret reste une limite absolue.

Experts-comptables : des données de tiers dans chaque pièce

Une facture, un bulletin de paie, un relevé bancaire : chaque pièce porte des données nominatives de salariés, de fournisseurs et de dirigeants, en plus des informations couvertes par le secret. Les usages sont connus (saisie automatisée, rapprochement bancaire, détection d'anomalies, notes de synthèse) et le piège est la fausse sécurité. La presse professionnelle recommande d'anonymiser les informations avant de les saisir dans un outil généraliste. Si le cabinet garde la table de correspondance, il pseudonymise : le RGPD continue de s'appliquer (voir notre article sur la différence entre anonymisation et pseudonymisation).

Un chiffre mal extrait, une règle fiscale périmée présentés avec assurance par un modèle engagent la responsabilité du cabinet, pas celle de l'éditeur. L'expert-comptable échantillonne donc les extractions de l'outil contre les pièces d'origine avant de valider une écriture.

Médecins : l'hébergeur avant le modèle

En santé, la question se pose avant même celle de la qualité du modèle. L'article L1110-4 du code de la santé publique encadre le secret médical et le partage des informations. L'article L1111-8 exige un hébergeur certifié pour héberger des données de santé à caractère personnel. Un outil de transcription qui envoie des comptes rendus vers des serveurs non certifiés pose un problème de conformité dès le premier dossier. Le médecin relit et corrige chaque compte rendu produit, car il reste responsable du contenu de son dossier.

Mettre en place : méthode et outils

Cinq étapes avant d'ouvrir un outil au cabinet

1. Lister les usages et les données concernées. Sans cette liste, aucune des étapes suivantes n'a de base.
2. Lire les conditions d'utilisation : conservation des saisies, réutilisation pour l'entraînement, sous-traitants ultérieurs, localisation des serveurs. C'est l'étape qui élimine le plus d'offres.
3. Signer le contrat de sous-traitance de l'article 28 du RGPD. Les éditeurs grand public n'en proposent pas toujours, ce qui renvoie à une offre professionnelle.
4. Faire l'analyse d'impact (article 35) quand le risque est élevé. C'est l'étape la plus lourde, surtout sans délégué à la protection des données dans le cabinet ; elle se prépare avec le modèle de la CNIL.
5. Écrire une charte interne et former les équipes. L'article 4 de l'AI Act vise la maîtrise de l'IA par le personnel (sa portée exacte est à vérifier, voir plus haut) ; garder la trace de la formation reste une bonne pratique.

Quelle famille d'outils choisir

Trois familles se croisent dans les cabinets : les assistants généralistes en version entreprise, les plateformes d'IA déployables chez soi ou chez un hébergeur choisi, et les outils intégrés à la gestion documentaire, où l'IA travaille sur des documents déjà classés et soumis à des droits d'accès.

Notre lecture, sans test de produit : pour des dossiers couverts par le secret, la famille la moins risquée est celle où le cabinet maîtrise le contrat et le lieu d'hébergement, c'est-à-dire une offre entreprise avec engagement écrit de non-réutilisation, ou un déploiement dédié. Le gain est réel, mais il ne remplace pas l'étape de lecture des conditions. Pour une première expérience sans donnée de client (veille, rédaction d'un article de blog), un assistant généraliste suffit. Les fiches Foxeet de Mistral AI, Prisme.ai, DocuWare, M-Files et Zivver (échanges sécurisés) permettent de comparer des offres ; leurs capacités se confirment par écrit auprès de l'éditeur.

À retenir

• Le secret professionnel (Code pénal, art. 226-13) limite ce que l'on peut saisir dans un outil d'IA.
• Le RGPD impose contrat de sous-traitance, sécurité, analyse d'impact et encadrement des transferts.
• L'AI Act vise la maîtrise de l'IA par le personnel (art. 4, assoupli par l'omnibus) ; le calendrier du haut risque a été reporté, à vérifier à la date de votre projet.
• Le professionnel reste responsable : contrôle humain et vérification des sources avant toute signature.

Sources consultées

• Code pénal, article 226-13 : Légifrance.
• Règlement (UE) 2016/679 (articles 22, 28, 32, 35, chapitre V) : EUR-Lex.
• Règlement (UE) 2024/1689, article 4 et annexe III point 8 : EUR-Lex.
• Conseil national des barreaux, guides sur l'IA générative (2024) et sur la déontologie et l'IA (mars 2026) : cnb.avocat.fr.
• Code de la santé publique, articles L1110-4 et L1111-8 : Légifrance.
• Omnibus numérique sur l'IA, accord du 7 mai 2026 : synthèses de cabinets d'avocats, texte officiel à confirmer au Journal officiel de l'Union.

FAQ : questions fréquentes

Les 6 questions ci-dessous reprennent ce que les acheteurs demandent le plus ; elles sont aussi publiées en données structurées Schema.org.